プラットフォーム
wordpress
コンポーネント
spice-blocks
修正版
2.0.8
CVE-2025-48130は、Spice Blocksにおいてパス・トラバーサル脆弱性が存在します。この脆弱性は、攻撃者が本来アクセスできないファイルを読み取れる可能性を秘めており、機密情報の漏洩やシステムの改ざんにつながる恐れがあります。影響を受けるバージョンは0.0.0から2.0.7.4です。バージョン2.0.7.5へのアップデートで修正されています。
このパス・トラバーサル脆弱性を悪用されると、攻撃者はサーバー上の任意のファイルにアクセスできるようになります。例えば、設定ファイルやログファイルから重要な情報（データベースの認証情報、APIキーなど）を窃取したり、Webサイトのソースコードを盗み出したりすることが可能です。攻撃者は、この脆弱性を利用して、Webサイトの改ざんや、他のシステムへの不正アクセスを試みる可能性があります。類似の脆弱性は、過去に多くのWebアプリケーションで確認されており、攻撃者はこれらの事例を参考に攻撃手法を開発する可能性があります。
CVE-2025-48130は、2025年6月9日に公開されました。現時点では、公開されているPoCは確認されていませんが、パス・トラバーサル脆弱性は比較的悪用が容易であるため、今後悪用される可能性は否定できません。CISA KEVへの登録状況は不明です。NVDデータベースも参照し、最新の情報を確認することをお勧めします。
WordPress websites utilizing the Spice Blocks plugin, particularly those running versions 0.0.0 through 2.0.7.4, are at risk. Shared hosting environments where plugin configurations are less controlled are also more vulnerable.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/spice-blocks/*• generic web:
curl -I 'https://your-wordpress-site.com/wp-content/plugins/spice-blocks/../../../../etc/passwd' # Check for file accessdisclosure
エクスプロイト状況
EPSS
0.13% (32% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応として、まずSpice Blocksをバージョン2.0.7.5以上にアップデートすることを推奨します。アップデートが困難な場合は、Webサーバーの設定でアクセス制限を強化し、攻撃者がアクセス可能なディレクトリを制限するなどの対策を講じてください。また、WAF（Web Application Firewall）を導入し、パス・トラバーサル攻撃を検知・防御するルールを設定することも有効です。アップデート後、ファイルアクセス権限を確認し、不要なファイルへのアクセスを制限することで、セキュリティを強化できます。
バージョン 2.0.7.5、またはそれ以降の修正バージョンにアップデートしてください
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-48130は、Spice Blocksのバージョン0.0.0から2.0.7.4において、攻撃者が任意のファイルを読み取れるパス・トラバーサル脆弱性です。
はい、Spice Blocksのバージョンが0.0.0から2.0.7.4の場合は、この脆弱性の影響を受けます。バージョン2.0.7.5以上にアップデートしてください。
Spice Blocksをバージョン2.0.7.5以上にアップデートすることで、この脆弱性を修正できます。アップデートが難しい場合は、Webサーバーの設定でアクセス制限を強化してください。
現時点では、公開されているPoCは確認されていませんが、パス・トラバーサル脆弱性は比較的悪用が容易であるため、今後悪用される可能性は否定できません。
Spice Blocksの公式アドバイザリは、今後の発表をお待ちください。NVDデータベースやWordPressプラグインリポジトリなどを参照し、最新情報を確認してください。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。